auth-security

仓库创建 2026年7月1日最近提交 23 天前SkillHot 收录 22 天前

▸ 精选理由

适合实现或审计认证机制时快速对照安全要求。

这个 Skill 做什么

关于 JWT、OAuth2/OIDC、会话管理与 MFA 的认证授权安全规则。

给出实操级的认证与授权建议：JWT 要锁定算法并校验 iss/aud/exp 等声明，公共客户端用授权码 + PKCE，做好会话管理、CSRF 防护、密码哈希和强制 MFA。用在设计登录流、发放/验证令牌或接入 OAuth2/OIDC 的场景。特点是把容易被忽略的校验与配置细节列成可执行清单，避免常见配置导致的安全漏洞。

▸ 展开 SKILL.md 英文原文

JWT, OAuth 2.0 / OIDC, session management, CSRF, password hashing, and MFA enforcement

开发编程身份认证JWTOAuth通用

Stars

Forks

仓库内 Skill

7 日增星

安装 / 使用

给你的 Agent 一句话（通用）

帮我安装这个 skill：https://raw.githubusercontent.com/ShieldNet-360/secure-vibe/main/skills/auth-security/SKILL.md

或 curl 直取 SKILL.md

curl -fsSL "https://raw.githubusercontent.com/ShieldNet-360/secure-vibe/main/skills/auth-security/SKILL.md"

SKILL.MD 节选查看完整文件 ↗

# Authentication & Authorization Security

## Rules (for AI agents)

### ALWAYS
- For JWT verification, pin the expected algorithm (`RS256`, `EdDSA`, or `ES256`)
  and verify `iss`, `aud`, `exp`, `nbf`, and `iat`. Reject `alg=none` and any
  unexpected algorithm.
- For OAuth 2.0 public clients (SPA / mobile / CLI), use the **authorization
  code flow with PKCE** (S256). Never the implicit flow. Never the resource
  owner password credentials grant.
- Cookies for sessions: `Secure; HttpOnly; SameSite=Lax` (or `Strict` for
  sensitive flows). Use the `__Host-` prefix when there's no subdomain sharing.
- Rotate the session identifier on login and on privilege change. Bind the
  session to the u

via SKILL·HOT · 数据来自 GitHub 公开信息 · 原文版权归作者所有